Ещё одна интересная подборка PoC’ов под memory corruption уязвимости в V8 и ChakraCore (2013 - 2019): https://github.com/tunz/js-vuln-db.

Exodus Intelligence написали крутую статью про анализ CVE-2019-5786:
https://blog.exodusintel.com/2019/02/20/cve-2019-5786-analysis-and-exploitation/

Код эксплойта тоже есть (работает только с —no-sandbox):

https://github.com/exodusintel/CVE-2019-5786

На этой неделе Samuel Groß из Project Zero выложил в сoverage guided фаззер для JS движков FuzzIL: https://github.com/googleprojectzero/fuzzilli.

Почитать подробнее о нем можно тут: https://saelo.github.io/presentations/offensivecon_19_fuzzilli.pdf

Теперь у Domato (https://github.com/googleprojectzero/domato) и других DOM и JS фаззеров есть серьезный конкурент.

Выложили описание довольно забавной sandbox escape уязвимости для macOS High Sierra 10.13.6.

Суть ее в том, что процесс без сендбокса может вызвать функцию CFPreferencesSetAppValue() и этим закэшировать свой статус у cfprefsd (обозначив себя как процесс без песочницы). Этот демон отвечает за обработку preferences. Таким образом, даже ограниченный процесс может потом менять свои свойства.

Забавно то, что это выстрелило для Safari, который в момент инициализации процесса рендерера не сразу погружает процесс в песочницу.

Детали эксплуатации и демо есть тут:
https://medium.com/0xcc/one-liner-safari-sandbox-escape-exploit-91082ddbe6ef

Firefox по итогам Pwn2own 2019 уже выкатила фиксы для найденных уязвимостей: https://www.mozilla.org/en-US/security/advisories/mfsa2019-09/

Фиксы CVE-2019-9810: https://github.com/mozilla/gecko-dev/commit/601d226fe3690ff57287580431fd9a937298be80, https://github.com/mozilla/gecko-dev/commit/752be3958fc6f6eb83eaa4a35fae1a99dc54746e.

Фикс CVE-2019-9813: https://github.com/mozilla/gecko-dev/commit/369406707f9fef96ac8405fb9cbb58da4bcc4f1dб.

P.S. Они отлично находятся путем поиска по Bug ID в https://github.com/mozilla/gecko-dev/

Исследователи из DrWeb обнаружили проблему в механизме обновления отдельных библиотек UcBrowser, который делал это по http вместо https, надеясь на собственный протокол шифрования. Подпись устанавливаемых с сервера библиотек не проверялась. Это позволяло с помощью MitM’а загружать и выполнять свой код на Android устройствах пользователей.

Видео с демонстрацией: https://youtu.be/Nfns7uH03J8

Полное описание проблемы тут:
https://vms.drweb.ru/search/?q=UC%20Browser

Появились слайды с Zer0con про устройство и уязвимости TurboFan - JavaScript компилятора в V8.

https://docs.google.com/presentation/d/1DJcWByz11jLoQyNhmOvkZSrkgcVhllIlCHmal1tGzaw

Появился PoC для use after free под FireFox (CVE-2018-18500). Интересно в нем то, что он использует задержку по времени ответа со стороны веб-сервера.

https://github.com/sophoslabs/CVE-2018-18500/

Ребята из Google выложили первоклассное и наиболее полное исследование про Uxss в Chromium.

Там есть про причины появления таких уязвимостей, описаны способы исправления, хардеринги и фаззинг.

Читать тут: https://storage.googleapis.com/pub-tools-public-publication-data/pdf/f5a8289d4f69e9e34b38a1e7c05ef4818b22cd5b.pdf

ZDI поделилась PoC’ами для уязвимостей в FireFox, найденных в ходе Pwn2Own 2019 (CVE-2019-9810 и CVE-2019-9813).

https://www.thezdi.com/blog/2019/4/18/the-story-of-two-winning-pwn2own-jit-vulnerabilities-in-mozilla-firefox

А ещё подробное описание 9813 можно найти тут:

https://bugs.chromium.org/p/project-zero/issues/detail?id=1810

Ребята из Project Zero выложили пост про технику sandbox escaping’a в Chromium через MojoJs биндинги:
https://googleprojectzero.blogspot.com/2019/04/virtually-unlimited-memory-escaping.html?m=0

Хорошая иллюстрация того, что выйти из песочницы у современного Chromium’а не так-то просто. Нужен arbitary read/write, несколько видов спреинга разными объектами и rop.

Полный код fullchain сплойта на базе CVE-2019-5782 можно посмотреть тут: https://bugs.chromium.org/p/project-zero/issues/detail?id=1755#c3

Еще одна атака с использованием CSS была в FF. Интересно то, что благодаря HTTP/2 эксплойт срабатывает очень быстро, без необходимости держать пользователя на странице.

https://research.securitum.com/css-data-exfiltration-in-firefox-via-single-injection-point/

Забавный, но действенный шаг. Многие сайты собирают информацию о браузере и окружении (WebRTC, Canvas и вот это вот все, например, с помощью популярной fingerprintjs). Но браузер Brave решил генерить фингерпринты на лету и из коробки.

https://brave.com/whats-brave-done-for-my-privacy-lately-episode3/

Сафари крутой!
Можно было сделать кнопку «Поделиться», отправив ссылку другу, а на деле прикрепив локальные файлы 🤷🏻‍♂️

https://blog.redteam.pl/2020/08/stealing-local-files-using-safari-web.html

А в хроме недавно можно было обойти CSP, используя гонку в JS.

https://www.perimeterx.com/tech-blog/2020/csp-bypass-vuln-disclosure/

Тут состряпали 1day эксплойт на CVE-2020-6507: Out of bounds write in V8.
Chrome <= 83.0.4103.61

https://github.com/r4j0x00/exploits/tree/master/chrome-exploit

По всей видимости, мы скоро можем попращаться с Reverse Tabnabbing.

Начиная с версии Chrome 88, браузер по-умолчанию будет считать ссылки с target=_blank как noopener и таким образом присоединится к Safari и Firefox, которые уже, к вашему сведению, так делают.

В двух словах об атаке. Если кто не знает, в HTML-теге <a>, предназначенном для создания ссылок, можно установить аттрибут target со значением _blank и тогда, по нажатию на такую ссылку в браузере, она будет открываться в новой вкладке. Сайт, на который ведет такая ссылка, может получить доступ к свойству window.opener и, к примеру, перенаправить пользователя на фишинговую страницу во вкладке, с которой он пришел.

#news

2020 потрясающий год. Помимо всего прочего, в Chrome можно подделать заголовок Referer, чего не было более десяти лет (раньше с помощью Flash можно было подменить этот заголовок).
PoC был выложен несколько дней назад и совершенно тривиальный:

<base href="https://www.google.com/">
<style>
@import 'https://CSRF.vulnerable.example/';
</style>

Запрос к сайту уйдет с заголовком
Referer: https://www.google.com/

К счастью, половину интернета этим не заломаешь (SameSite cookie, вот это все), но имейте в виду.

Упс, 0day RCE в паблике:

https://github.com/r4j0x00/exploits/tree/master/chrome-0day

Забавный ресерч. Будь я хакером, я бы рассматривал хром как точку входа для какого-нибудь pwn2own.

ELECTRIC CHROME - CVE-2020-6418 on Tesla Model 3

https://leethax0.rs/2021/04/ElectricChrome